Microsoft está dando um passo definitivo rumo a um futuro sem senhas frágeis e códigos de SMS no ambiente corporativo. A partir de 1º de setembro de 2026, as passkeys passarão a ser o método de autenticação padrão no Entra ID, a plataforma de identidade e acesso em nuvem da empresa. A decisão faz parte de uma estratégia clara: reduzir ao máximo a exposição a golpes de phishing e outros tipos de ataque que exploram fraquezas de métodos tradicionais, como mensagens de texto e chamadas de voz.
Hoje, muitos usuários do Entra ID ainda dependem de códigos recebidos por SMS ou por ligação telefônica para concluir o segundo fator de autenticação. Com a mudança, todos que já utilizam SMS ou voz serão automaticamente considerados elegíveis para usar passkeys. No próximo processo de autenticação multifator, esses usuários poderão ser convidados a registrar a nova credencial, migrando de forma gradual e orientada para o novo padrão.
As passkeys funcionam com base em criptografia de chave pública, o que muda completamente a lógica de autenticação. Em vez de um código ou senha que o usuário “sabe” e precisa digitar, o sistema utiliza um par de chaves criptográficas: uma pública, armazenada no servidor, e outra privada, guardada com segurança no dispositivo do usuário. Esse modelo elimina o uso de segredos compartilhados, tornando inúteis diversas técnicas comuns de ataque.
Ao não depender de códigos temporários enviados por canais inseguros, as passkeys tornam muito mais difícil o sucesso de ataques de phishing, interceptação de SMS, clonagem de SIM (SIM swapping) ou reutilização de credenciais vazadas em outros serviços. Mesmo que um criminoso tente enganar o usuário com um site falso, não há senha a ser roubada: a autenticação depende de uma troca criptográfica que só ocorre com o dispositivo legítimo e em um contexto validado.
O Entra ID já oferece um ecossistema relativamente amplo de suporte a passkeys. A plataforma é compatível com passkeys sincronizadas por gerenciadores como iCloud Keychain e Google Password Manager, permitindo que usuários de diferentes sistemas operacionais tenham uma experiência integrada. Além disso, há suporte para passkeys vinculadas diretamente ao dispositivo, incluindo o aplicativo Microsoft Authenticator, o próprio Windows e chaves de segurança físicas baseadas no padrão FIDO2.
Essa flexibilidade é estratégica para organizações que possuem ambientes heterogêneos, misturando Windows, macOS, iOS, Android e dispositivos dedicados. Em vez de forçar um único caminho tecnológico, a Microsoft permite que empresas escolham o modelo de passkey mais adequado ao seu nível de maturidade, política de segurança e parque de dispositivos. Para o usuário final, a experiência tende a ser mais simples: muitas vezes, bastará usar biometria (como impressão digital ou reconhecimento facial) ou PIN do dispositivo para concluir o login.
A mudança para passkeys não virá apenas como recomendação: ela será acompanhada pela descontinuação do serviço nativo de autenticação por SMS e voz fornecido pela própria Microsoft no Entra ID. A data limite para esse desligamento está definida: 1º de fevereiro de 2027. A partir desse dia, a opção de usar SMS ou ligação como segundo fator deixará simplesmente de existir no serviço.
Isso significa que, após fevereiro de 2027, qualquer usuário que ainda tiver apenas SMS ou voz configurados como método de MFA precisará, obrigatoriamente, registrar uma passkey para continuar acessando suas contas. A exigência será aplicada aos tenants afetados de forma global, sem possibilidade de desativação por configuração administrativa. Em outras palavras: quem não se adaptar, não conseguirá mais completar o processo de login.
Para as equipes de segurança e identidade, essa linha do tempo exige planejamento. Administradores de Entra ID precisarão mapear quantos usuários ainda dependem exclusivamente de SMS/voz, estabelecer campanhas internas de conscientização, criar guias de migração para passkeys e, em muitos casos, revisar políticas de autenticação condicional. Empresas com grande número de colaboradores, terceirizados ou usuários remotos terão de considerar um período de testes, treinamentos e suporte ampliado.
Um ponto crítico é a experiência de usuários menos familiarizados com tecnologias de autenticação modernas. Migrar essas pessoas diretamente de um código de SMS para uma passkey pode gerar dúvidas e resistência. Por isso, será importante explicar de forma clara que, na prática, o processo tende a ser mais simples: em vez de esperar um código por mensagem, o usuário apenas confirma o acesso com o rosto, o dedo ou um clique em um dispositivo já confiável. O ganho em usabilidade é um argumento tão forte quanto o ganho em segurança.
Do ponto de vista técnico, as passkeys também reduzem custos e complexidade operacional. Enviar SMS em escala envolve contratos com operadoras, infraestrutura de roteamento e tratamento de falhas. Além disso, muitas empresas enfrentam problemas de entrega de mensagens, atrasos e bloqueios por políticas de spam. Ao migrar para um modelo baseado em chaves criptográficas e dispositivos, a dependência de redes móveis e serviços de telecomunicações diminui significativamente.
Outro benefício relevante é a conformidade com regulamentações de privacidade e segurança. Métodos resistentes a phishing e que reduzem a exposição de dados sensíveis ajudam organizações a se alinharem a exigências de leis e normas de proteção de dados. Em auditorias, poder demonstrar que a empresa usa autenticação forte baseada em padrões modernos como FIDO2 e passkeys se torna um diferencial, especialmente em setores regulados, como financeiro, saúde e governo.
Para os atacantes, essa mudança representa um aumento real da barreira de entrada. Golpes que antes se apoiavam em engenharia social para convencer usuários a informar códigos recebidos por SMS perdem grande parte da eficácia. Mesmo ataques mais sofisticados, como interceptação de mensagens via malware ou clonagem de chip, deixam de ser suficientes para comprometer contas, já que não existe mais código temporário a ser capturado.
No entanto, a adoção de passkeys não elimina a necessidade de boas práticas de segurança. Dispositivos precisam estar protegidos por bloqueios de tela robustos, atualizações de sistema devem ser aplicadas regularmente e políticas de gerenciamento de dispositivos (MDM) continuam essenciais em ambientes corporativos. A identidade continua sendo o novo perímetro, e as passkeys são apenas um componente – ainda que muito importante – dessa arquitetura.
Organizações que já utilizam chaves físicas FIDO2 terão uma transição mais suave, pois o conceito é semelhante. A diferença principal é que as passkeys ampliam a conveniência ao permitir sincronização entre dispositivos confiáveis, mantendo a segurança criptográfica. Para empresas que preferem máxima segregação, ainda é possível priorizar chaves físicas ou passkeys estritamente vinculadas a um dispositivo corporativo gerenciado, reduzindo o risco de perda de controle.
Outro aspecto que deve entrar no radar dos times de TI é o suporte e recuperação de conta. Se um usuário perder o celular ou notebook onde a passkey está registrada, é necessário um fluxo claro de recuperação, que não devolva o problema ao ponto inicial (por exemplo, voltar ao SMS). Isso passa por processos de validação de identidade, canais de atendimento confiáveis e, em alguns casos, mecanismos adicionais de verificação, como documentos e contato com o suporte interno.
A decisão da Microsoft também aponta uma tendência mais ampla do mercado: a aposentadoria gradual de fatores de autenticação baseados em algo que pode ser facilmente copiado ou desviado. Em vez disso, o foco se volta a elementos fortemente vinculados ao dispositivo e à pessoa, com minimização da interação do usuário com códigos ou senhas. Esse movimento está alinhado com a visão de “passwordless”, em que a senha tradicional deixa de ser o centro da segurança de contas.
Para empresas que ainda estão em estágios iniciais de maturidade em identidade e acesso, o anúncio serve como alerta e oportunidade. Alinhar agora estratégias de IAM (Identity and Access Management) com o uso de passkeys pode evitar correria às vésperas dos prazos e, ao mesmo tempo, elevar o nível de segurança de toda a organização. Começar por grupos-piloto, como equipes de TI ou áreas mais sensíveis, é uma boa prática para ajustar políticas antes da expansão em massa.
No cenário de ameaças atual, em que credenciais roubadas continuam sendo uma das principais portas de entrada para invasões, a migração para passkeys no Entra ID representa uma mudança de paradigma. Ao abandonar SMS e voz como serviços nativos de MFA e transformar passkeys no padrão obrigatório, a Microsoft pressiona o ecossistema corporativo a abandonar de vez métodos frágeis. Quem se preparar com antecedência tende a colher ganhos tanto em proteção quanto em experiência de usuário.